La majoria de les aplicacions gratuïtes que tens al mòbil no són gratuïtes.
Te les ofereixen a canvi de les teves dades.
És un bescanvi.
És transparent en principi, i en molts casos també és un bescanvi que val la pena fer — no hi ha cap escàndol a fer-lo.
Moltes aplicacions de finances personals funcionen també així.
Et donen una eina de seguiment gratuïta o gairebé gratuïta, i a canvi agreguen les teves dades de despesa per produir informes de mercat, recomanacions personalitzades, suggeriments publicitaris, perfilatge, col·laboracions comercials.
També aquí, en principi, és una tria legítima del proveïdor.
Tu, en un instant, acceptes els termes de servei i continues.
Cashfulness ha fet una tria diferent.
No per jutjar les altres aplicacions — cadascú construeix el seu propi model, i molts ho fan honestament — sinó perquè creiem que les finances personals mereixen un tracte diferent.
És un àmbit on la boira ja n'hi ha prou, i on la consciència que algú (encara que sigui només teòricament) pugui mirar les teves xifres treu el mateix sentit del producte.
La calma de què parlem, si les dades no estan segures, és una promesa buida.
Per això hem construït Cashfulness al voltant d'una tria tècnica precisa, escrita als fonaments del codi, que funciona en dos nivells.
El primer nivell protegeix els documents que portes dins de Cashfulness — amb un xifratge d'extrem a extrem radical.
El segon nivell protegeix la teva identitat i les teves dades comptables — amb una anonimització màxima.
Els dos nivells responen a necessitats diferents i fan servir eines diferents. Val la pena explicar-los un per un.
Per què cal connexió (i què significa per a la privacitat)
Una premissa tècnica, abans d'entrar en els dos nivells.
Cashfulness funciona només si el teu dispositiu és en línia.
Al mòbil o a l'ordinador, l'aplicació ha de poder parlar amb una base de dades remota que viu als nostres servidors (infraestructura europea).
Per què aquesta tria? Perquè les teves dades comptables han de romandre sincronitzades entre els diferents dispositius que fas servir.
Si afegeixes una transacció des del mòbil a l'hora de dinar, vols tornar-la a veure al vespre des de l'ordinador portàtil. Si fas el contrari, igual.
Sense un punt de veritat centralitzat, les dades divergirien sistemàticament entre els clients, i et trobaries amb dues còpies incoherents de la teva comptabilitat — un petit malson que anul·la tot el sentit de la partida doble.
Així que sí, la teva comptabilitat passa per un servidor remot.
No és una renúncia a la privacitat: és el vincle tècnic necessari per donar-te una comptabilitat que funcioni de veritat en diversos dispositius.
La pregunta interessant esdevé: com protegim la teva privacitat donat aquest vincle?
La resposta és en els dos nivells que et descric ara.
Nivell 1 — Xifratge d'extrem a extrem radical per als documents
Quan comencis a fer servir Cashfulness, tard o d'hora voldràs portar dins de l'aplicació els teus documents: extractes bancaris, contractes d'hipoteca o de lloguer, rebuts de llum i gas, pòlisses d'assegurança, certificats d'inversions, informes de fons, rebuts fiscals importants.
Aquests documents contenen de tot: el teu nom complet, adreça, DNI/NIF, IBAN, imports, contraparts, detalls de la teva vida.
És el nivell més sensible de tots.
Per a ells hem fet la tria més estricta possible: xifratge d'extrem a extrem radical.
El terme tècnic és xifratge d'extrem a extrem, o E2EE.
Per entendre què és sense tecnicismes, imagina't que vols enviar una carta mitjançant un missatger.
Tens dues opcions.
Opció 1, model estàndard.
Escrius la carta en clar, la poses en un sobre, la dones al missatger.
El missatger — si vol — pot obrir el sobre, llegir la carta, prendre notes, i després tornar-la a tancar i lliurar-la.
Tu confies que no ho farà perquè ha promès que no ho farà, potser perquè hi ha lleis que li ho prohibeixen i et donen alguna garantia.
Però materialment, pot.
Opció 2, xifratge d'extrem a extrem.
Escrius la carta, la tanques en una caixa metàl·lica que només s'obre amb una clau específica.
La clau la tens tu. Només tu.
Dones la caixa al missatger. El missatger la transporta i la desa.
Encara que se l'endugués a casa seva, no la podria obrir, perquè no té la clau.
Quan necessites la carta, obres tu mateix/a la caixa amb la teva clau, i la llegeixes.
El xifratge d'extrem a extrem dels documents a Cashfulness és la caixa metàl·lica de l'Opció 2.
Quan puges un document a l'aplicació, el teu dispositiu el xifra abans d'enviar-lo al servidor. Al servidor arriba i queda xifrat.
Per al servidor, cada document teu és un bloc de soroll digital.
La clau per desxifrar-lo resideix només al teu dispositiu, derivada de la teva contrasenya personal i de les teves 24 paraules de recuperació (l'anomenada seed phrase, l'estàndard més sòlid disponible avui per generar i protegir claus criptogràfiques personals).
Què significa, a la pràctica:
- El servidor de Cashfulness no pot llegir els teus documents. Ni nosaltres, que hem construït l'aplicació, ni qui gestiona la infraestructura, ni un eventual atacant futur.
- Si demà Cashfulness fos vulnerada i tots els documents dels servidors fossin robats, l'atacant veuria soroll. Inutilitzable.
- Fins i tot una autoritat que demanés formalment els teus documents rebria soroll. No els podem donar, perquè no els tenim en clar.
Hi ha un revers de la moneda, i volem ser honestos amb això.
Si perds la teva contrasenya i perds també les 24 paraules de recuperació, els teus documents esdevenen il·legibles fins i tot per a tu.
Per sempre.
No els podem recuperar, perquè tècnicament no podem llegir allò que has xifrat. No hi ha cap «recuperació de contrasenya per correu» que et retorni els documents, perquè no hi ha ningú a l'altra banda que ho pugui fer.
La clau és només teva.
Això significa llibertat — ets l'únic/única que hi pot accedir — i responsabilitat — ets l'únic/única que en pot perdre l'accés.
És una tria de filosofia. Preferim donar-te el control sencer, encara que això inclogui el pes de custodiar les teves credencials, abans que guardar-ne una còpia «de seguretat» al nostre servidor. Aquella còpia, tard o d'hora, podria esdevenir un punt de compromís.
Una clau que només existeix al teu mòbil, no.
Nivell 2 — Anonimització màxima per a la identitat i les dades comptables
El segon nivell és diferent, i cobreix tota la resta: qui ets i què fas dins de l'aplicació en termes de xifres.
Per a aquestes dades hem triat una altra estratègia, perquè el problema és de naturalesa diferent.
Els documents són «caixes» amb contingut sensible, i té sentit xifrar-les íntegrament.
Les dades comptables, en canvi, són una estructura viva: xifres, comptes, categories, moviments que necessites cada dia, i sobre els quals Cashfulness construeix les mètriques de salut financera que et mostra.
Xifrar-les de la mateixa manera que els documents faria l'aplicació lentíssima i en molts casos inutilitzable.
La nostra resposta no és el xifratge absolut. És l'anonimització màxima.
A la pràctica, això significa dues coses.
Cashfulness ni tan sols vol saber com et dius.
Quan et registres, no et demanem nom i cognoms.
Et demanem un àlies — el que vulguis tu, pot ser fins i tot pura fantasia.
Et demanem un correu electrònic per als contactes tècnics (recuperació d'accés, comunicacions de servei), i una contrasenya.
Prou.
Cap DNI/NIF, cap data de naixement, cap adreça, cap número de telèfon, cap connexió amb el teu compte bancari, cap verificació d'identitat.
Per a Cashfulness, ets un àlies amb un correu electrònic. Res més.
Els teus espais comptables són difícils de desxifrar per a qui no ets tu.
L'aplicació et convida a articular ingressos i despeses en comptes i subcomptes específics. Els noms que dones a aquells comptes, les etiquetes dels teus moviments, el nivell de granularitat amb què descrius la teva vida financera — els decideixes tu, amb el vocabulari que et sigui més útil.
Cashfulness no et demana mai que introdueixis dades personals dins dels noms dels comptes: cap DNI/NIF, cap IBAN als encapçalaments, cap nom propi. Els noms són operatius (per exemple: «Nòmina», «Compte corrent principal», «Hipoteca de casa», «Despeses del cotxe», «Lloguers cobrats»): descriuen una funció, no tu.
Combinats, aquests dos factors — un àlies que no revela qui ets, i noms de comptes que descriuen què, no qui — fan la teva comptabilitat difícil d'entendre i impossible de relacionar amb tu per a qualsevol que no siguis tu mateix/a.
El resultat concret és aquest: fins i tot si algú (un atacant, un empleat deshonest, una autoritat) pogués mirar la base de dades del costat del servidor, veuria un cert àlies amb un pla de comptes, saldos i moviments.
No sabria qui és aquell àlies.
No tindria manera de lligar aquelles xifres amb la persona real darrere la pantalla.
Veuria una comptabilitat sense biografia.
Alguns consells pràctics per romandre realment anònim/a
L'anonimat no és només una promesa nostra: també és un petit gest teu.
Si vols que la teva comptabilitat sigui incomprensible per a qualsevol que no siguis tu, et recomanem:
- Anomena els comptes per funció, no per persona. «Compte del banc», «Nòmina», «Hipoteca de casa», «Compte compartit» funcionen bé. «Compte de Joan Puig» o un IBAN sencer a l'encapçalament obren una escletxa innecessària.
- Deixa les descripcions de les transaccions genèriques de manera natural. Per la seva pròpia naturalesa ja ho són: «esmorzar al bar», «sopar al restaurant», «repostatge del cotxe», «compra al supermercat». Ningú fora de tu sabria si aquell sopar al restaurant va ser a Barcelona amb un client o a Girona amb la teva germana.
- Fes servir un correu electrònic pseudònim per al registre, si vols portar-ho a l'extrem. El teu correu electrònic només serveix per a l'inici de sessió i per rebre comunicacions de servei: ningú t'obliga a fer-ne servir un «oficial» del tipus
nom.cognom@domini.cat. Va perfectament bé un pseudònim del tipusaurora.di.notte@protonmail.como qualsevol altre que et sigui còmode.
Fins i tot el pagament és anònim (per a nosaltres)
Un punt que el lector normalment no espera, i que val la pena dir clarament.
Per a les subscripcions a Cashfulness no et demanem targeta de crèdit, IBAN, ni dades de facturació directament. El pagament passa a través de la botiga des de la qual has baixat l'aplicació: App Store (Apple) o Google Play (Google) per a les versions mòbils, Stripe per als pagaments des del web.
Són aquests tercers els qui veuen el teu nom, adreça, targeta de crèdit o IBAN — perquè tècnicament són ells qui cobren. A ells, normalment, els correspon també l'emissió de factures o rebuts fiscals per a la teva subscripció (amb les regles del teu país).
Cashfulness, a l'altra banda d'aquell tub, rep només el cobrament net i un identificador opac de la subscripció (alguna cosa com sub_abc123).
Mai no veiem: nom del client, DNI/NIF, targeta de crèdit, IBAN.
No emetem factures ni rebuts fiscals als usuaris finals.
Dit d'una altra manera: també en el front comercial, de tu ens n'hi ha prou amb saber que existeix una subscripció activa lligada a un cert àlies i a un cert correu electrònic pseudònim. La biografia del client és a l'altra banda, a la botiga, i allà es queda.
Les tries difícils que se'n deriven
Combinar aquests dos nivells no és una funcionalitat gratuïta.
És una tria que tanca algunes portes de manera estructural, i sobre aquestes portes val la pena ser explícits, perquè és aquí on es veu el preu de la coherència.
Cap analítica de comportament granular per perfil.
No podem correlacionar l'activitat dins de l'aplicació amb identitats reals, perquè no tenim les identitats reals.
El desenvolupament del producte és una mica més cec pel que fa als patrons individuals. Confiem molt més en els comentaris directes, en les proves beta, en les entrevistes qualitatives.
Funciona, però és menys automàtic.
Cap recomanació comercial personalitzada.
No et diem «altres usuaris com tu han comprat X» a partir del teu perfil. No et empenyem productes de socis patrocinats basant-nos en les teves xifres. El model de perfilatge comercial que és el pa de tantes aplicacions gratuïtes, a Cashfulness no hi és.
El que sí que fem, en canvi — i ens interessa dir-ho clarament — són camins de millora de la teva situació financera: indicacions sobre on les teves xifres suggereixen que es podria estalviar, on la composició del patrimoni mereix una reflexió, on els mesos de cobertura podrien créixer amb petits ajustos.
Són indicacions educatives, construïdes sobre les teves dades, i — quan la naturalesa de les dades ho requereix — calculades al teu dispositiu, sobre una còpia desxifrada local.
Una precisió important: Cashfulness no dona consells d'inversió personalitzats. Això és territori dels assessors financers inscrits al registre corresponent, i per bones raons: és una activitat regulada que requereix competències, responsabilitat i una relació de confiança diferent de la que hi ha entre tu i una aplicació. Cashfulness t'ajuda a veure-hi clar, no a triar el fons que compraràs la setmana vinent.
Notificacions i butlletí: només si els vols tu, mai per defecte.
El fet que siguem al·lèrgics al perfilatge comercial no vol dir que siguem una plataforma muda.
Cashfulness et pot enviar coses útils — i quan dic «útils» vull dir de veritat per a tu, no per a tercers: un avís si un pressupost està a punt de sobrepassar-se, suggeriments sobre on les teves xifres expliquen que podries estalviar, un breu butlletí periòdic amb reflexions educatives sobre finances personals i sobre les novetats del producte.
Tot això és opt-in: l'actives tu en el moment del registre o després, quan vulguis, i el desactives quan vulguis.
Cap casella ve marcada per defecte. El teu correu electrònic — encara que sigui pseudònim — ens serveix només per lliurar el que has demanat, no per perseguir-te amb missatges que no has volgut.
IA rigorosament conforme als dos nivells de privacitat.
Les funcionalitats d'intel·ligència artificial que Cashfulness desenvolupa o desenvoluparà respecten la distinció que hem descrit més amunt.
Sobre els documents (extractes bancaris, contractes, rebuts, pòlisses) els processaments d'IA que requereixen llegir-ne el contingut es fan al teu dispositiu, sobre una còpia desxifrada local. El servidor mai no veu el contingut d'aquells documents.
Sobre les dades comptables (saldos, moviments, categories del teu àlies) eventuals processaments del costat del servidor operen sobre xifres sense identitat civil — la «comptabilitat sense biografia» de què parlava abans. La IA et pot ajudar a llegir patrons útils (per exemple, assenyalar-te una despesa fora d'escala respecte al teu habitual, o suggerir on retallar), però sense poder mai lligar aquelles xifres amb un nom i cognoms reals.
El que no farem és construir un model d'IA que lligui qui ets amb la teva vida financera — perquè el «qui ets», a Cashfulness, no el tenim.
Cap venda de dades agregades relacionables amb persones.
No podem vendre «conjunts de dades de despesa per franja d'edat i residència» a bancs, instituts de recerca, agències publicitàries. Les dades civils i de residència no les tenim.
Hauria estat un canal d'ingressos significatiu. L'hem eliminat deliberadament del model de negoci.
La conseqüència comercial d'aquestes tries és clara: per sostenir-nos vivim només de subscripcions directes dels usuaris.
Nivell gratuït mínim, subscripció Premium, subscripció Ultra.
Cap publicitat, cap venda de dades, cap col·laboració que requereixi accés a les dades dels usuaris.
És un model més estricte que l'estàndard del mercat, però és honest, i és l'únic que permet a Cashfulness mantenir la promesa que fa a la primera pantalla de l'incorporació.
Una conseqüència que ens agrada d'aquest model: cada usuari que tria pagar per Cashfulness és un usuari que vol de veritat el producte.
No hi ha la dinàmica segons la qual «el producte és gratuït perquè el producte ets tu».
Ets el client, i el producte és allò que pagues.
També les col·laboracions respecten aquesta regla
Hi ha una pregunta que tard o d'hora ens faran — i val la pena avançar-la.
Si en el futur Cashfulness s'obrís a integracions amb altres serveis financers (comparadors de tarifes, corredors d'assegurances, gestors d'inversions), aquests dos nivells de protecció es mantindrien drets?
Sí, i la regla la formulem així: si Cashfulness integra un soci extern, la crida al soci sempre partirà del teu dispositiu, a petició teva específica, per a una partida específica.
Mai agregat del costat del servidor.
Mai automàtic.
Mai sense el teu gest conscient.
Poso un exemple concret, per bé que futur i hipotètic.
Suposem que has pujat a Cashfulness el teu rebut de la llum i vols saber si hi ha una oferta millor al mercat.
En una aplicació estàndard, el sistema enviaria automàticament al soci les dades del rebut (i potser altres dades de context), rebria la resposta, i te la mostraria.
En el model Cashfulness, en canvi, veuràs un botó «verifica amb [soci]» sobre aquell rebut específic.
Quan el prems, el teu mòbil descarrega el rebut de l'arxiu de Cashfulness, el desxifra localment — perquè recordem-ho: els documents pujats estan xifrats d'extrem a extrem i només el teu dispositiu té la clau per llegir-los en clar —, extreu només les dades necessàries per a la verificació (consum, franja, proveïdor actual), les envia directament al soci sense passar pel nostre servidor, i et mostra la resposta.
El servidor de Cashfulness, també en aquest escenari, no ha vist res.
Ni el document, ni les xifres, ni la teva identitat.
Això no és una concessió tardana a la privacitat.
És la manera com creiem que han de funcionar les col·laboracions en finances personals.
És més incòmode de construir tècnicament — requereix SDK del costat del dispositiu, autenticació fina, gestió de credencials al mòbil — però és l'única manera coherent amb la promesa de marca.
Les col·laboracions que demanin a Cashfulness un accés agregat del costat del servidor a les dades rebran cortesament un no.
La promesa, en una frase
Aquesta és la promesa, resumida en una frase que voldríem que perdurés:
Cashfulness no sap qui ets, no llegeix els teus documents, no entén les teves xifres. Només tu tens totes les claus.
Tres verbs diferents per a tres nivells diferents.
No sap qui ets: perquè no l'hi dius. Faràs servir un àlies, i te n'hi haurà prou.
No llegeix els teus documents: perquè estan xifrats amb una clau que només tu posseeixes.
No entén les teves xifres: perquè sense el teu context són una comptabilitat sense biografia.
Tota la resta del producte es recolza en aquesta frase.
Les mètriques de salut financera, la distinció entre Actiu+ i Actiu-, la partida doble invisible, el ritual setmanal dels deu minuts — totes coses de què parlem en els altres articles d'aquest blog — funcionen de veritat només si per sobre seu hi ha un sostre de privacitat que les fa realment teves, no només en el llenguatge del màrqueting.
Si això és el que busques, ets al lloc correcte.
T'esperem a la llista d'espera beta a cashfulness.com/beta.
Si en canvi prefereixes una aplicació que t'analitza els comportaments per aconsellar-te millor a canvi de part de la teva privacitat, és una tria legítima — no hi ha res de dolent — però no serem nosaltres aquell lloc.
Està bé així.
Cashfulness està pensat per a les persones per a qui els números de casa han de quedar-se a casa, i sap molt bé que és una tria entre d'altres.
— Vittorio